Vulnerabilidades en Wordpress 2.5.1 sin descubrir
May 18, 2008 · Imprimir este Artículo
Gracias al gentil aviso de Dondado nos hemos dado cuenta que tenemos código insertado en varios de nuestros posts nuevamente.
¿Vulnerabilidad en 2.5.1?
No sabemos nada, simplemente que esta nueva versión ya posee una nueva falla de seguridad y deja los posts en tu DB totalmente inseguros y los hackers pueden cambiar el contenido de los mismos.
Aquí, nosotras estamos hartas de estas fallas, es muy probable que nos mudemos a otro sistema de blogs, estamos viendo con Milagros.
Estas cosas son un auténtico fastidio. Esos mismos enlaces los he visto en otros blogs, uno de ellos muy muy conocido.
Ahora sería importante conseguir determinar cómo se han conseguido colar, si es una vulnerabilidad del WP, de la configuración del hosting o incluso de algún troyano que hayan conseguido instalar en los PC’s de los administradores y así se hayan hecho con las contraseñas de acceso.
Una auténtica lata, ahora a cruzar los dedos para que no se repita y para que nos toque a los demás y… los ojos bien abiertos para avisarnos entre nosotros cuando detectemos algún caso de estos.
Un saludo
P.D. miradle el lado positivo, lo habéis corregido pronto y google no os ha llegado a meter en el saco de los sospechosos
huy¡¡¡¡¡¡¡ ese problema no es sin descubrir, ya tiene un chingo de tiempo, por algo salio la version 2.5.1, es mas, atacaron a uno de los blogs más importantes en español, al de mi buen amigo eduardo arcos y su alt1040 xD incluso posteo sobre eso, creo que deberian de investigar un poco sobre wordpress, honestamente creo que no leen otros blogs :S
sanshiro: estamos hablando de la ultima version, no de la 2.5. Por favor si no tenes cosas interesantes para comentar, te pido que no lo hagas.
David: Muchas gracias por la ayuda.
Saludos.
sanshiro: Si te referís a este ataque:
http://alt1040.com/2008/04/si-alt1040-fue-hackeado/
Nosotras tenemos la versión 2.5.1 instalada.
Saludos.
Hola, yo uso en mi Blog central Movable type 4.1 con páginas estáticas. Es una muy buena solución para afrontar una alta carga de visitas sin saturar el servidor. Te lo recomiendo.
Saludos
Deberian chequear los directorios con permisos de escritura si es que no ha quedado algun .php de algun ataque anterior, tal vez no se trate de una falla de la 2.5.1, aunque es posible, pero es muy comun esto que comento. Ademas de chequear el codigo de plugins, themes, etc.
Podrían decir un poco más sobre de qué se trata esta vulnerabilidad??? sería útil para corroborarla.
(por cierto, ya sería hora de que dejen de insultar a los hackers)
Facundo:
¿Por una de esas casualidades casuales no nos mandaste un e-mail el 13 de marzo de este año?
Saludos.
Que bueno que Dondado esta atento, a ver si nos avisa a todos
Esque precisamente parece que esta vulnerabilidad es de la versión de Wordpress 2.5 y que con la 2.5.1 resuelve este problema y más de 70 correcciones.
Os dejo un link a una noticia http://www.opensecurity.es/publicado-wordpress-251-resuelve-vulnerabilidad-critica/
Un saludo.
No creo que sea problema de la versión 2.5.1 chicas. Tened en cuenta que habría mucha mas gente afectada. Creo que os ha pasado alguna vez mas, así que mas bien pienso que es alguna vulnerabilidad en alguno de los plugins que usáis, la propia plantilla o bien algún fallo de seguridad en vuestro servidor. En el caso de una amiga mía a través de un agujero de un plugin se le coló un troyano en el servidor y la cambió cosas del blog. Dicho troyano volvía a aparecer de vez en cuando porque se había infiltrado en la propia base de datos, en varias entradas del blog pero fue encontrar las lineas adecuadas y lo matamos del todo. Saludos
Yo me pregunto si la vulnerabilidad no vendrá de algún plugin en lugar de venir de la versión 2.5.1 en sí. ¿Contactasteis con algún blogger atacado para contrastar plugins?
Chequear el código de plugins, themes, wp es una tarea demasiado ardua… por eso digo lo de contactar con otros afectados, para eliminar la paja que no tienen en común.
Lo de mirar los permisos también está interesante.
Un saludo!
supongo que el hecho de que wordpress sea probablemente el cms más utilizado también hace que sea el más atacado…
Chicas, una pregunta, el enlace se encontraba en que parte del codigo?, dentro del loop de WP, despues o donde?. Por ahi fue un enlace que quedo de una “intrusion” anterior a la actualizacion a la 2.5.1 y recien ahi lo vio Dondado.
Buenas,
no es que quiera hacerme autobombo, pero si, wordpress 2.5.1 tiene un par de vulnerabilidades, pero tambien está reportado como corregirlas.
http://www.smv.es/678/solucionar-el-bug-de-wordpress-251/
Saludos
CrowDat deberias leer antes de postear algo como “critico”, te dejo un enlace:
http://www.buayacorp.com/archivos/realidad-¿ligeramente-distorsionada-de-un-bug/
El error del cambio de password es un error tonto y no critico.
Bueno, yo siempre he usado en mi blog un motor desarrollado en ASP.NET (BlogEngine.NET | http://www.dotnetblogengine.net ) y no he tenido siquiera comentarios spam o algo parecido.
Siempre he pensado que PHP es muy vulnerable.
Saludos
Pues para mi no es un error tonto, todo depende del num de usuarios que tengas y de los problemas que pueda ocasionar eso.
El mundo no es solo desde el punto de vista tuyo.
CrowDat un bug de seguridad es una cosa y un problema con una funcion que genera los passwords al solicitarlo via el clasico “fogot your passwod?” es otra cosa, a ver si leemos. Como te dije es un error tonto y no es un problema de seguridad.
Rodney:
Estamos hablando de inyecciones de código, y vulnerabilidades de aplicación. Ahí no tiene nada que ver el lenguaje de programación.
Que ignorancia hombre! o acaso trabajas en microsoft??? ASP tiene mil fallos más que php, y son mucho más dificiles de corregir por ser software cerrado…
—————–
chicas, por qué preguntaban si había enviado un mail??? nunca les he escrito más que en los comentarios del blog.
saludos!
Concuerdo con Xyborg en que es un bug menor y esta reportada la solucion. Aunque fuece critico el update sale rapido por ser Wordpress. Realmente estan pensando en cambiar el CMS? No lo recomiendo a menos que vayas a uno mas potente lo cual es dificil en tema de blogs, casi te diria que no hay mejor que wordpress. Posiblemente puedan trabajar de forma similar en un Mambo o Joomla, pero no es tan practico y dinamico.
Facundo: Tratemos de bajar el tono de los comentarios hacia otros usuarios. Porque alguien opine diferente no hay que descalificarlo.
¿Ok?
Estaba revisando… Movable Type cuesta 300 dólares, que otras opciones habrá?
Facundo:
Lamento que no estés enterado que ASP.NET es más seguro que PHP.
Cuando el código es abierto, todos saben como está hecho y es mucho más fácil de vulnerarlo. Ojalá me pagara Microsoft aunque sea una microscópica parte, pero la experiencia de desarrollador profesional es la que me ha dado la autoridad de lo que digo.
Entérate que el 90% de los sitios hackeados a nivel mundial corren en Apache, a pesar que Apache tiene un mercado del 48%, frente a un 35% de Microsoft (IIS)
(http://www.infoworld.com/article/07/09/07/36OPsecadvise-iis-vs-apache-web-server-security_1.html)
Desde Julio de 2001 no se ha registrado un ataque masivo a servidores IIS, como a cada rato se escuchan sobre servidores Apache (http://www.infoworld.com/article/03/03/12/HNnewcodered_1.html)
Investiga y te darás cuenta. Es un hecho amigo, una aplicación en Apache+PHP es mucho más vulnerable que una en IIS+ASP.NET.
Saludos
Rodney:
Decir que el código abierto es mucho más inseguro que el cerrado es apoyarse en una falacia que hace años se demostró como totalmente falsa.
Evidentemente tienes tu preferencia hecha, pero creo que te estás basando en falsos conceptos. Las estadísticas que muestras son totalmente falsas, de hecho la realidad es totalmente inversa. bastaría buscar un par de análisis más y mostrarían todo lo contrario a las que muestras.
No pretendo convencerte, y prefiero dejar acá la discusión para no desvirtuar el post. Saludos, esclavo del imperio.
la verdad chica seo que este articulo me ha dejado medio apranoico. Es una lastima que cosas como estas sucedan. No se el resto pero a los que nos esforzamos por entender como funciona wordpress nos perjudica demasiado este tipo de actos vandalicos, segun lo veo es una verdadera violacion a la propiedad privada.
Me toco diseñar un sitio para una organizacion e instale el wordpress 2.5, solo que cuando el sitio empezó a recibir demasiados usuarios al mismo tiempo, la base de datos colapso que se me ocurrio usar paginas estaticas cuando fallara la conexion a mysql.
A raiz de esa experiencia diseñe un sistema con paginas estaticas y estructurado sobre mis bookmarks de del.icio.us
que es la que me permite, utilizar categorias, tags, articulos relacionados, etc. etc.
Si deseas darte una vuelta por mi blog. constatarás la rapidez de este sistema. y sin utilizar ninguna base de datos en mi servidor-
Aunque por el momento dependo totalmente de del.icio.us en cuanto a que sus servidores siempre esten up running.
Si quisieras valorar esta opcion, estoy a tus ordenes
Hola chicas, yo aqui de nuevo.
Hoy en la mañana wordpress no me dejo subir imagenes. en ninguna de las dos web que tengo.
¿ será algun fallo de seguridad?